Khi chọn tổ chức chứng nhận ISO 27001, điều cần nhớ là giá trị của chứng chỉ phụ thuộc vào tổ chức cấp nó. Chứng chỉ ISO/IEC 27001:2022 do tổ chức chứng nhận được công nhận cấp, trong đúng phạm vi công nhận, mới được khách hàng và đối tác quốc tế chấp nhận. Dưới đây là sáu tiêu chí nên kiểm tra trước khi ký hợp đồng, kèm cách tự xác minh.
Tóm tắt
- Tổ chức chứng nhận nên được một cơ quan công nhận tham gia thỏa thuận thừa nhận lẫn nhau quốc tế công nhận (IAF MLA, nay chuyển dần sang Global Accreditation Cooperation).
- Phạm vi công nhận phải gồm ISO/IEC 27001.
- Chứng chỉ phải tra cứu được công khai, ví dụ trên IAF CertSearch.
- Tổ chức chứng nhận không được tư vấn xây dựng hệ thống mà mình đánh giá.
1. Được công nhận bởi cơ quan công nhận có thừa nhận quốc tế
Cơ quan công nhận (ví dụ UKAS, cơ quan công nhận quốc gia của Vương quốc Anh) đánh giá định kỳ năng lực của tổ chức chứng nhận theo ISO/IEC 17021-1 và ISO/IEC 27006-1. Nhờ thỏa thuận thừa nhận lẫn nhau IAF MLA, chứng chỉ được chấp nhận ở các nền kinh tế tham gia thỏa thuận.
Từ 01/01/2026, IAF và ILAC hợp nhất thành Global Accreditation Cooperation Incorporated (Global Accreditation Cooperation). Thỏa thuận IAF MLA đang chuyển dần sang thỏa thuận MRA của tổ chức mới; trong giai đoạn chuyển tiếp, chứng nhận được công nhận theo IAF MLA và các dấu hiện có vẫn có hiệu lực. Vì vậy chứng chỉ mang dấu công nhận hiện tại không bị mất giá trị do việc hợp nhất.
Chứng chỉ “không được công nhận” vẫn hợp pháp nhưng thường không được chấp nhận trong đấu thầu và chuỗi cung ứng quốc tế, vì không có bên thứ ba nào giám sát năng lực của tổ chức cấp.
2. Phạm vi công nhận gồm ISO 27001
Công nhận được cấp theo từng tiêu chuẩn. Một tổ chức có thể được công nhận cho ISO 9001 nhưng không cho ISO/IEC 27001. Hãy yêu cầu xem chứng chỉ công nhận và phụ lục phạm vi, kiểm tra trên trang của cơ quan công nhận. Phụ lục cần thể hiện ISO/IEC 27001:2022; chứng chỉ ISMS cấp ngoài phạm vi công nhận không được mang dấu công nhận.
3. Chứng chỉ tra cứu được
Chứng chỉ hợp lệ có thể xác minh trên cơ sở dữ liệu của tổ chức chứng nhận, và với nhiều tổ chức, trên IAF CertSearch. Nếu không tra cứu được, đối tác của bạn cũng sẽ không xác minh được. Thử tra cứu chứng chỉ do DAS cấp.
Khi tra cứu, đối chiếu đủ các thông tin: tên pháp nhân và địa chỉ, tiêu chuẩn ghi đúng ISO/IEC 27001:2022 (chứng chỉ bản 2013 đã hết hiệu lực sau 31/10/2025 theo IAF MD 26), phạm vi hoạt động, phiên bản Tuyên bố áp dụng (SoA), địa điểm, ngày cấp và ngày hết hạn, trạng thái hiệu lực hay đình chỉ.
4. Tính độc lập: không tư vấn
Theo ISO/IEC 17021-1, tổ chức chứng nhận không được tư vấn xây dựng hệ thống mà mình sẽ đánh giá, và không được giới thiệu một đơn vị tư vấn cụ thể như điều kiện để được chứng nhận nhanh hơn hay dễ hơn. Nếu một tổ chức có liên quan đã giúp doanh nghiệp xây dựng hệ thống, tổ chức chứng nhận không được chứng nhận hệ thống đó khi mối quan hệ này đe dọa tính khách quan; theo ISO/IEC 17021-1 (điều 5.2.7), để một khoảng thời gian tối thiểu hai năm trôi qua sau khi hoạt động hỗ trợ kết thúc là một cách giảm rủi ro này.
Dấu hiệu cần cẩn trọng: cùng một đơn vị vừa viết tài liệu vừa cấp chứng chỉ; cam kết “bảo đảm đạt”; chứng chỉ có sau vài ngày mà không có đánh giá giai đoạn 2 tại cơ sở. DAS là tổ chức chứng nhận nên không tư vấn và không hứa kết quả trước đánh giá.
5. Năng lực chuyên gia đánh giá
ISO/IEC 27006-1 đặt yêu cầu năng lực riêng cho đoàn đánh giá ISMS: hiểu quản lý rủi ro an toàn thông tin, các biện pháp trong Annex A và công nghệ liên quan đến lĩnh vực của khách hàng. Đánh giá viên cần đọc được cấu hình đám mây, quy trình phát triển phần mềm (8.25 đến 8.31), hoạt động giám sát (8.16), chứ không chỉ kiểm tra tài liệu.
Câu hỏi nên đặt: đoàn đánh giá có người đã đánh giá tổ chức cùng lĩnh vực chưa; giai đoạn 2 có kiểm tra bằng chứng kỹ thuật như nhật ký, cấu hình, kết quả khôi phục sao lưu không. Một cuộc đánh giá nghiêm túc sẽ lấy mẫu rủi ro trong sổ đăng ký và lần theo biện pháp trong SoA đến bằng chứng vận hành.
6. Minh bạch về ngày công và chu kỳ
Ngày công đánh giá ISO/IEC 27001 được tính theo ISO/IEC 27006-1, dựa trên số người trong phạm vi và mức độ phức tạp của hoạt động kinh doanh và hạ tầng CNTT. Báo giá nên ghi rõ ngày công giai đoạn 1, giai đoạn 2, đánh giá giám sát năm thứ 2 và 3, và cách xử lý khi có nhiều địa điểm (IAF MD 1). Báo giá quá thấp so với ngày công tối thiểu có thể đồng nghĩa với đánh giá không đầy đủ, và rủi ro là đối tác hoặc cơ quan công nhận phát hiện ra.
| Câu hỏi nên đặt | Câu trả lời cần có |
|---|---|
| Công nhận bởi ai? | Tên cơ quan công nhận, có tham gia thỏa thuận thừa nhận quốc tế |
| Phạm vi công nhận? | Có ISO/IEC 27001:2022 |
| Tra cứu chứng chỉ ở đâu? | Đường dẫn cơ sở dữ liệu công khai, IAF CertSearch |
| Có kèm dịch vụ xây dựng hệ thống không? | Không |
| Bao nhiêu ngày công, chia thế nào? | Ngày công từng giai đoạn và giám sát |
Ví dụ minh hoạ: một công ty BPO 200 người nhận hai báo giá. Báo giá thứ nhất chỉ ghi “trọn gói, có chứng chỉ trong 2 tuần”, không nêu ngày công hay cơ quan công nhận. Báo giá thứ hai nêu tên cơ quan công nhận, ngày công từng giai đoạn và lịch giám sát. Khi khách hàng châu Âu của công ty tra cứu chứng chỉ, chỉ chứng chỉ thứ hai xác minh được.
Câu hỏi thường gặp
Chứng chỉ ISO 27001 có giá trị không nếu tổ chức chứng nhận ở nước ngoài?
Giá trị không phụ thuộc quốc tịch của tổ chức chứng nhận mà vào việc được công nhận và tra cứu được. Chứng chỉ được công nhận trong khuôn khổ thừa nhận lẫn nhau được chấp nhận giữa các nền kinh tế tham gia.
Có thể đổi tổ chức chứng nhận giữa chu kỳ không?
Có. Việc chuyển chứng nhận giữa các tổ chức được công nhận thực hiện theo IAF MD 2, gồm xem xét trước chuyển giao về tình trạng chứng chỉ và các sự không phù hợp còn mở.
Việc IAF và ILAC hợp nhất có làm chứng chỉ phải cấp lại không?
Không. Trong giai đoạn chuyển tiếp, chứng nhận được công nhận theo IAF MLA và dấu hiện có vẫn có hiệu lực. Chứng chỉ được cập nhật theo chu kỳ bình thường.
Xem thông tin chứng nhận và ước tính ngày công tại trang chứng nhận ISO 27001. Nếu đang cân nhắc phạm vi, đọc thêm ISO 27001 phù hợp với doanh nghiệp nào.
Khi đã chọn được tổ chức chứng nhận, xem tiếp quy trình chứng nhận ISO 27001 và thời gian chứng nhận ISO 27001 để lập kế hoạch.
Nguồn tham khảo
- ISO/IEC 17021-1:2015: yêu cầu về tính khách quan và năng lực của tổ chức chứng nhận.
- Global Accreditation Cooperation: tổ chức hợp nhất từ IAF và ILAC từ 01/01/2026.
- IAF CertSearch: tra cứu chứng chỉ được công nhận.
- Tài liệu IAF: IAF MD 1, MD 2 và MD 26.
- UKAS: cơ quan công nhận quốc gia của Vương quốc Anh.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.